SlowMist تكشف عن سكربت دردشة Udesk يستبدل عناوين الإيداع في 3 منصات عملات رقمية

سكربت دردشة Udesk كان يحمل حمولة خبيثة

كشفت شركة SlowMist المتخصصة في أمن البلوك تشين، الثلاثاء 27 أكتوبر، أن أداة دردشة لدعم العملاء مدمجة في مواقع خارجية كانت تحمل شيفرة خفية تجمع بيانات تسجيل الدخول للزوار وتعيد كتابة عناوين الإيداع على ما لا يقل عن ثلاث من منصات التداول. صادف فريق الشركة السكربت المجتزأ أثناء أعمال الاستخبارات الرقمية الروتينية، بينما دفعت خدمة MistEye للمراقبة تنبيهات فورية للعملاء المتأثرين. الملف المعني هو udeskApi.2026-10-16.cached.js، وهو السكربت الذي توفره Udesk للمواقع كي تضيف زر دعم ونافذة دردشة إلى صفحاتها. وقد أطلقت SlowMist الإنذار عبر تنبيه نشرته على X، وأصدرت في اليوم نفسه تقريرًا تقنيًا مفصلًا.

@SlowMist_Team · منشور على X

تنبيه نشرته على X.

عرض على X

كانت روتينية جمع البيانات تعمل على كل صفحة تحمّل السكربت، قبل أي تحقق من قواعد خاصة بكل موقع، ما يعني أن أي موقع دمج الأداة كان معرضًا لتسرب بيانات الاعتماد. وأوضحت SlowMist أن إطار iframe لنافذة الدردشة لم يوفر أي حماية، لأن السكربتات المحملة في الصفحة المضيفة تظل قادرة على قراءة بياناته. أما وحدة استبدال العناوين فكان نطاقها أضيق: لم تُفعَّل إلا وفق ثلاث قواعد نطاقات تطابق MGBX وBiking Exchange وBitxEX. فعلى صفحات الإيداع وإعادة الشحن والأصول في هذه المنصات، كانت الشيفرة تتفحص الصفحة كل 200 ملي ثانية وتستبدل عناوين الإيداع المعروضة بأحد ستة عناوين محافظ يسيطر عليها المهاجم، تغطي Bitcoin وسلاسل الآلة الافتراضية لـEthereum وTron وSolana وLitecoin وDogecoin. كما أعادت الشيفرة كتابة النصوص المنسوحة عبر ثلاثة مسارات مستقلة، بحيث كان المستخدم الذي يلصق العنوان في مكان آخر للمقارنة قد يرى القيمة المجتزأة نفسها في الطرفين. ولم تذكر SlowMist كيف تسربت الشيفرة إلى سكربت Udesk، ولا كم موقعًا حمّلها، ولا ما إذا كانت أي أموال وصلت فعلًا إلى العناوين البديلة.

خدعة النظام السداسي عشري أخفت نطاق المهاجم

وضع المُحمّل الخبيث في نهاية الملف، بعد الشيفرة الطبيعية للأداة الخاصة بزر الدعم ونافذة الدردشة. وقد كُتب عنوان القيادة والسيطرة بصيغة النظام السداسي عشري، فمن الممكن أن يفوت البحث النصي المباشر عن النطاق كليًا. وبعد فك التشفير، سحب المُحمّل سكربتًا ثانيًا باسم deeps.js من النطاق udeskqlobal.com. وشددت SlowMist على الإملاء: يبدأ النطاق بحرف q وليس بحرف g في كلمة global، وعلى المدافعين الذين يفتشون السجلات الاحتفاظ بالسلسلة الحرفية الدقيقة. وبمجرد تنفيذ deeps.js، قرأ ملفات تعريف الارتباط وذاكرة المتصفح وأعاد توجيهها، مع رابط الصفحة، إلى خادم على النطاق ذاته. ثم ربط عمليات إرسال النماذج والطلبات التي كانت عناوينها تتضمن كلمات مثل تسجيل الدخول أو المصادقة أو كلمة المرور، فنسخ أسماء الحسابات وكلمات المرور ورموز التحقق لحظة إرسالها من المستخدمين. وذكرت الشركة أن بيانات مسروقة من هذا النوع قد تتيح للمهاجمين انتحال هوية المستخدمين أو الاستيلاء على حساباتهم مباشرة. وعلاجًا للمشكلة، طُلب من الشركات التي ما تزال تحمّل السكربتات المتأثرة حفظ الأدلة أولًا، ثم إيقاف توزيع الملفات، والرجوع إلى إصدارات موثقة، ومراجعة إعدادات الاستضافة وشبكات توصيل المحتوى ومديري الوسوم. وبعد ذلك ينبغي إبطال الجلسات التي يُحتمل تسربها وتدوير كلمات المرور والمفاتيح من بيئة نظيفة، ثم التحقق من وجهات الإيداع مقابل الأنظمة الخلفية الموثوقة وسجلات المعاملات. وحذرت SlowMist من أن حذف وسم السكربت لا يُبطل الربط والمؤقتات المثبتة أصلًا، لذا يجب إغلاق الصفحات المتأثرة. كما نشر التقرير النطاق الخبيث وبصمات الملفات والعناوين الستة للمحافظ كي يقارنها المشغلون بسجلاتهم.

النمط هنا اختراق لسلسلة التوريد في بنية تحتية مشتركة، لا اختراقًا لمنصة بعينها، وهذا ما يجعل نطاق الضرر صعب التحديد: جمع البيانات كان يعمل قبل فحوصات الموقع، فكل صفحة تحمل الأداة تدخل في دائرة الخطر. أقرب سابقة هي مكتبة Ledger Connect Kit المجتزأة في ديسمبر 2023، التي استنزفت نحو 500,000 دولار من مستخدمي واجهات أمامية من بينها SushiSwap وZapper. وتضيف هذه الحالة طبقة أخطر، لأن إعادة كتابة الحافظة النصية تبطل عادة النسخ والمقارنة التي يعتمد عليها كثير من المستخدمين بوصفها حماية. ويمنح قرار SlowMist نشر بصمات الملفات والعناوين الستة المشغلين أداة تحقق ملموسة من سجلاتهم، ويمكن للفرق التي تفحص الاعتماديات الخارجية أن تبدأ بالأساسيات التي تغطيها عمليات تدقيق أمن البلوك تشين.